From 6e19958a3709cca7731e262b92948ddfb688c754 Mon Sep 17 00:00:00 2001 From: Claude Date: Tue, 9 Jun 2026 19:43:13 +0000 Subject: [PATCH 1/3] =?UTF-8?q?Security-,=20Bugfix-=20und=20UX-=C3=9Cberar?= =?UTF-8?q?beitung=20auf=20Basis=20des=20Code-Reviews?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Sicherheit: - Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt; expire_minutes wird validiert (anonym: nur Default/Template-Werte, eingeloggt: max. 1 Jahr) - IP-basiertes Rate-Limit über neue Tabelle request_throttle (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback für Alt-Installationen; Migration 0002 - session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS - Admin-/Aktiv-Status wird pro Request live aus der DB geprüft (Rechteentzug & Deaktivierung wirken sofort); Schutz vor Selbst-Degradierung im Benutzer-Edit - Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt (kein CSRF-Token mehr in URLs) - login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php - M365 Client Secret wird nicht mehr ins Formular zurückgegeben - Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben - cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning - CSV-Export gegen Excel-Formula-Injection abgesichert Bugfixes: - M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail' liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden) - PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und wiederholt keine Admin-Aktionen (Session-Flash-Messages) - QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar) - Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt n× Login + Voucherlisten-Abruf; exaktes Code-Matching per create_time statt "global neuester Voucher" - Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials, SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host - forgot_password: System-URL-Auto-Detect (Reset-Link war sonst relativ/kaputt) + Rate-Limit - Audit-Log-Labels an tatsächliche Action-Keys angepasst; Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert - Site-Edit testet die Verbindung auch ohne Passwortänderung UX/UI: - Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen (vorher 7× dupliziert mit hart codierten Hellfarben) - Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk), Settings kehren nach dem Speichern zum aktiven Tab zurück - Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten") - Voucher-Name-Default "Gast/Guest" im öffentlichen Modus - Favicon auch auf Login-/öffentlichen Seiten - Verbindungstest-Button pro Site-Karte (Health-Check) - i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en - Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog) - A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf Icon-Buttons; APP_KEY-Warnbanner im Dashboard - Dashboard-Sync: set_time_limit passend zur Site-Anzahl; Voucher-Sync mit Map statt SELECT pro Voucher Tooling: - GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4 --- .github/workflows/lint.yml | 30 ++ admin/audit_log.php | 26 +- admin/index.php | 15 +- admin/settings.php | 44 ++- admin/sites.php | 129 +++++-- admin/templates.php | 43 ++- admin/users.php | 114 +++--- admin/vouchers.php | 25 +- assets/global.css | 73 +++- assets/global.js | 15 +- cron_sync.php | 3 +- cron_test.php | 7 + database.sql | 10 + forgot_password.php | 26 +- includes/Auth.php | 63 +++- includes/Crypto.php | 5 + includes/Helpers.php | 53 +++ includes/Mailer.php | 43 ++- includes/UniFiController.php | 108 +++--- index.php | 216 +++++++++--- install.php | 7 +- lang/de.php | 59 +++- lang/en.php | 59 +++- login.php | 7 +- login_simple.php | 329 ------------------ m365_callback.php | 14 +- reset_password.php | 7 +- updater/README.md | 14 + updater/UpdateController.php | 5 +- updater/UpdateManager.php | 108 +++++- .../0002_voucher_request_throttle.sql | 11 + 31 files changed, 1040 insertions(+), 628 deletions(-) create mode 100644 .github/workflows/lint.yml create mode 100644 includes/Helpers.php delete mode 100644 login_simple.php create mode 100644 updater/migrations/0002_voucher_request_throttle.sql diff --git a/.github/workflows/lint.yml b/.github/workflows/lint.yml new file mode 100644 index 0000000..4f2709a --- /dev/null +++ b/.github/workflows/lint.yml @@ -0,0 +1,30 @@ +name: Lint + +on: + push: + pull_request: + +jobs: + php-lint: + runs-on: ubuntu-latest + steps: + - uses: actions/checkout@v4 + - uses: shivammathur/setup-php@v2 + with: + php-version: '8.2' + - name: PHP Syntax-Check (alle Dateien) + run: | + set -e + fail=0 + while IFS= read -r f; do + php -l "$f" > /dev/null || fail=1 + done < <(git ls-files '*.php') + exit $fail + - name: Sprachdateien-Paritaet (de/en) + run: | + php -r ' + $de = require "lang/de.php"; $en = require "lang/en.php"; + $missing = array_merge(array_diff(array_keys($de), array_keys($en)), array_diff(array_keys($en), array_keys($de))); + if ($missing) { fwrite(STDERR, "Fehlende Keys: " . implode(", ", $missing) . "\n"); exit(1); } + echo "OK: " . count($de) . " Keys synchron\n"; + ' diff --git a/admin/audit_log.php b/admin/audit_log.php index 0af636a..1cfb77e 100644 --- a/admin/audit_log.php +++ b/admin/audit_log.php @@ -45,22 +45,23 @@ $users = $db->fetchAll("SELECT id, name FROM users WHERE is_active = 1 ORDER BY $currentPage = 'audit_log'; $adminBase = ''; +// WICHTIG: Die Keys muessen den tatsaechlich via writeAuditLog() geschriebenen +// Action-Namen entsprechen (user_create, site_edit, ...), sonst erscheinen +// die Eintraege als rohe Keys. $actionLabels = [ - 'voucher_created' => '🎫 Voucher erstellt', + 'voucher_create' => '🎫 Voucher erstellt', 'voucher_bulk' => '🎫 Bulk Voucher', 'user_login' => '🔐 Login', - 'user_logout' => '🚪 Logout', - 'user_created' => '👤 Benutzer erstellt', - 'user_updated' => '👤 Benutzer geändert', - 'user_deleted' => '👤 Benutzer gelöscht', - 'site_added' => '🌐 Site hinzugefügt', - 'site_updated' => '🌐 Site geändert', - 'site_deleted' => '🌐 Site gelöscht', - 'settings_saved' => '⚙️ Einstellungen gespeichert', + 'user_create' => '👤 Benutzer erstellt', + 'user_edit' => '👤 Benutzer geändert', + 'user_delete' => '👤 Benutzer gelöscht', + 'site_create' => '🌐 Site hinzugefügt', + 'site_edit' => '🌐 Site geändert', + 'site_delete' => '🌐 Site gelöscht', 'password_reset' => '🔑 Passwort-Reset', - 'template_created' => '📋 Profil erstellt', - 'template_updated' => '📋 Profil geändert', - 'template_deleted' => '📋 Profil gelöscht', + 'update_installed' => '🔄 Update installiert', + 'update_failed' => '🔄 Update fehlgeschlagen', + 'migrations_run' => '🗄️ Migrationen ausgeführt', ]; ?> @@ -81,7 +82,6 @@ $actionLabels = [ .table td { padding: 12px 15px; border-bottom: 1px solid var(--border-color); font-size: 13px; color: var(--text-primary); } .table tr:last-child td { border-bottom: none; } .table tr:hover td { background: var(--bg-hover); } - .badge { display: inline-block; padding: 3px 9px; border-radius: 5px; font-size: 11px; font-weight: 500; } .filter-bar { display: flex; gap: 12px; flex-wrap: wrap; align-items: flex-end; } .filter-bar select { padding: 9px 12px; border: 2px solid var(--border-color); border-radius: 8px; font-size: 13px; background: var(--bg-input); color: var(--text-primary); } .filter-bar select:focus { outline: none; border-color: var(--accent); } diff --git a/admin/index.php b/admin/index.php index e432205..6b8a32a 100644 --- a/admin/index.php +++ b/admin/index.php @@ -26,6 +26,9 @@ if (isset($_GET['ajax_stats'])) { $syncErrors = []; if ($syncFirst) { + // Mehrere Sites werden sequentiell synchronisiert (je bis zu ~15s + // bei Timeout) – PHP-Default von 30s reicht dann nicht. + @set_time_limit(30 + count($sites) * 20); foreach ($sites as $site) { try { $ctrl = new UniFiController($site['unifi_controller_url'], $site['unifi_username'], Crypto::decrypt($site['unifi_password']), $site['site_id']); @@ -122,11 +125,6 @@ $currentPage = 'dashboard'; .table th { text-align: left; padding: 11px 14px; background: var(--bg-table-head); color: var(--text-muted); font-weight: 600; font-size: 12px; text-transform: uppercase; letter-spacing: .5px; } .table td { padding: 13px 14px; border-bottom: 1px solid var(--border-color); color: var(--text-primary); font-size: 14px; } .table tr:last-child td { border-bottom: none; } - .badge { display: inline-block; padding: 3px 9px; border-radius: 5px; font-size: 11px; font-weight: 500; } - .badge-success { background: #d4edda; color: #155724; } - .badge-warning { background: #fff3cd; color: #856404; } - .badge-danger { background: #f8d7da; color: #721c24; } - .badge-info { background: var(--bg-badge-info); color: var(--text-badge-info); } .btn-primary { background: var(--accent); color: white; } .btn-primary:hover { background: var(--accent-hover); } .btn-success { background: var(--success); color: white; } @@ -161,6 +159,13 @@ $currentPage = 'dashboard'; @media(max-width:768px){ .main-content{ margin-left:0!important; } .stats-grid{ grid-template-columns:1fr 1fr; } } + +
+ + +
+ +

diff --git a/admin/settings.php b/admin/settings.php index fbe7e77..a711006 100644 --- a/admin/settings.php +++ b/admin/settings.php @@ -8,6 +8,7 @@ require_once __DIR__ . '/../includes/Database.php'; require_once __DIR__ . '/../includes/Auth.php'; require_once __DIR__ . '/../includes/Mailer.php'; require_once __DIR__ . '/../includes/I18n.php'; +require_once __DIR__ . '/../includes/Helpers.php'; $auth = new Auth(); $auth->requireAdmin(); @@ -72,7 +73,11 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['save_settings'])) { if ($formType === 'm365') { $settings['m365_client_id'] = trim($_POST['m365_client_id'] ?? ''); - $settings['m365_client_secret'] = trim($_POST['m365_client_secret'] ?? ''); + // Secret nur aktualisieren, wenn eines eingegeben wurde – es wird + // (wie das SMTP-Passwort) nicht mehr ins Formular zurueckgegeben. + if (!empty($_POST['m365_client_secret'])) { + $settings['m365_client_secret'] = trim($_POST['m365_client_secret']); + } $settings['m365_tenant_id'] = trim($_POST['m365_tenant_id'] ?? ''); } @@ -106,7 +111,15 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['save_settings'])) { $db->setSetting($key, $value); } - $success = __('settings_saved'); + // PRG + Tab-Anker: F5 speichert nicht erneut, und der Nutzer landet + // wieder auf dem Tab, in dem er gespeichert hat. + $tabAnchors = [ + 'general' => 'general', 'defaults' => 'defaults', 'm365' => 'm365', + 'smtp' => 'smtp', 'templates' => 'templates_email', 'system' => 'system', + ]; + flashSet(__('settings_saved')); + header('Location: settings.php#' . ($tabAnchors[$formType] ?? 'general')); + exit; } catch (Exception $e) { $error = 'Fehler: ' . $e->getMessage(); } @@ -119,7 +132,9 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['generate_cron_token'] $error = __('error_csrf'); } else { $db->setSetting('cron_token', bin2hex(random_bytes(32))); - $success = 'Neuer Cron-Token wurde generiert!'; + flashSet(__('cron_token_generated')); + header('Location: settings.php#cron'); + exit; } } if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['delete_cron_token'])) { @@ -127,7 +142,9 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['delete_cron_token'])) $error = __('error_csrf'); } else { $db->setSetting('cron_token', ''); - $success = 'Cron-Token wurde gelöscht!'; + flashSet(__('cron_token_deleted')); + header('Location: settings.php#cron'); + exit; } } @@ -139,23 +156,29 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['change_password'])) { try { $user = $auth->getCurrentUser(); if (!password_verify($_POST['current_password'], $user['password_hash'])) { - throw new Exception('Aktuelles Passwort ist falsch'); + throw new Exception(__('error_pw_current')); } if (strlen($_POST['new_password']) < 8) { throw new Exception(__('settings_pw_minlength')); } if ($_POST['new_password'] !== $_POST['confirm_password']) { - throw new Exception('Passwörter stimmen nicht überein'); + throw new Exception(__('error_pw_mismatch')); } $db->query("UPDATE users SET password_hash = ? WHERE id = ?", [password_hash($_POST['new_password'], PASSWORD_DEFAULT), $user['id']]); - $success = __('settings_pw_changed'); + flashSet(__('settings_pw_changed')); + header('Location: settings.php#password'); + exit; } catch (Exception $e) { $error = $e->getMessage(); } } } +if (empty($success) && empty($error) && ($flash = flashGet())) { + $success = $flash['message']; +} + $protocol = isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http'; $host = $_SERVER['HTTP_HOST']; $scriptPath = dirname($_SERVER['SCRIPT_NAME'], 2); @@ -215,9 +238,6 @@ $adminBase = ''; diff --git a/includes/Auth.php b/includes/Auth.php index af855eb..d989fff 100644 --- a/includes/Auth.php +++ b/includes/Auth.php @@ -1,7 +1,9 @@ db = Database::getInstance(); @@ -14,7 +16,10 @@ class Auth { ini_set('session.cookie_httponly', 1); ini_set('session.use_strict_mode', 1); ini_set('session.cookie_samesite', 'Lax'); - + if (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') { + ini_set('session.cookie_secure', 1); + } + if (!session_start()) { die("Session konnte nicht gestartet werden"); } @@ -72,6 +77,8 @@ class Auth { private function recordLoginAttempt($ip, $email) { try { + // Alte Eintraege aufraeumen, damit die Tabelle nicht unbegrenzt waechst + $this->db->query("DELETE FROM login_attempts WHERE attempted_at < DATE_SUB(NOW(), INTERVAL 1 DAY)"); $this->db->query( "INSERT INTO login_attempts (ip_address, email) VALUES (?, ?)", [$ip, $email] @@ -138,6 +145,12 @@ class Auth { // Session setzen private function setUserSession($user) { + // Session-ID nach erfolgreichem Login rotieren (verhindert Session-Fixation) + if (session_status() === PHP_SESSION_ACTIVE) { + session_regenerate_id(true); + } + + $this->sessionUser = false; // User-Cache invalidieren $_SESSION['user_id'] = $user['id']; $_SESSION['user_email'] = $user['email']; $_SESSION['user_name'] = $user['name']; @@ -160,6 +173,7 @@ class Auth { // Ausloggen public function logout() { + $this->sessionUser = null; $_SESSION = []; if (isset($_COOKIE[session_name()])) { @@ -169,6 +183,25 @@ class Auth { session_destroy(); } + /** + * Laedt den Session-User einmal pro Request aus der DB. Dadurch wirken + * Rechteaenderungen (Admin entzogen, Konto deaktiviert/geloescht) sofort + * und nicht erst nach Ablauf der Session. + */ + private function loadSessionUser() { + if ($this->sessionUser === false) { + $this->sessionUser = null; + if (isset($_SESSION['user_id'])) { + $user = $this->db->fetchOne( + "SELECT * FROM users WHERE id = ? AND is_active = 1", + [$_SESSION['user_id']] + ); + $this->sessionUser = $user ?: null; + } + } + return $this->sessionUser; + } + // Prüfen ob eingeloggt public function isLoggedIn() { if (!isset($_SESSION['user_id']) || !isset($_SESSION['login_time'])) { @@ -183,24 +216,32 @@ class Auth { return false; } + // Deaktivierte/geloeschte Konten sofort aussperren + if ($this->loadSessionUser() === null) { + $this->logout(); + return false; + } + return true; } - - // Prüfen ob Admin + + // Prüfen ob Admin (live aus der DB, nicht aus dem Session-Cache) public function isAdmin() { - return $this->isLoggedIn() && isset($_SESSION['is_admin']) && $_SESSION['is_admin'] === true; + if (!$this->isLoggedIn()) { + return false; + } + $user = $this->loadSessionUser(); + $isAdmin = $user !== null && (bool)$user['is_admin']; + $_SESSION['is_admin'] = $isAdmin; + return $isAdmin; } - + // Aktuellen Benutzer abrufen public function getCurrentUser() { if (!$this->isLoggedIn()) { return null; } - - return $this->db->fetchOne( - "SELECT * FROM users WHERE id = ?", - [$_SESSION['user_id']] - ); + return $this->loadSessionUser(); } // Prüfen ob Benutzer Zugriff auf Site hat diff --git a/includes/Crypto.php b/includes/Crypto.php index ae42b4b..61e74ff 100644 --- a/includes/Crypto.php +++ b/includes/Crypto.php @@ -114,4 +114,9 @@ class Crypto { public static function isEncrypted($value) { return is_string($value) && strpos($value, self::PREFIX) === 0; } + + /** Prueft, ob ein gueltiger APP_KEY konfiguriert ist (fuer Admin-Warnhinweis). */ + public static function hasKey() { + return self::key() !== null; + } } diff --git a/includes/Helpers.php b/includes/Helpers.php new file mode 100644 index 0000000..4b1e8a7 --- /dev/null +++ b/includes/Helpers.php @@ -0,0 +1,53 @@ + $type, 'message' => $message]; +} + +/** @return array|null ['type' => ..., 'message' => ...] oder null */ +function flashGet() { + $flash = $_SESSION['flash'] ?? null; + unset($_SESSION['flash']); + return $flash; +} + +/** + * Zaehlt eine Aktion fuer die aktuelle IP und prueft das Limit. + * + * @param Database $db + * @param string $action Logischer Name, z.B. 'voucher_create' + * @param int $maxWeight Erlaubte Summe im Zeitfenster + * @param int $windowMinutes Zeitfenster in Minuten + * @param int $weight Gewicht dieser Anfrage (z.B. Bulk-Anzahl) + * @return bool|null true = limitiert, false = erlaubt (und gezaehlt), + * null = Tabelle fehlt (Aufrufer entscheidet ueber Fallback) + */ +function throttleHit($db, $action, $maxWeight, $windowMinutes, $weight = 1) { + $ip = $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0'; + try { + $db->query("DELETE FROM request_throttle WHERE requested_at < DATE_SUB(NOW(), INTERVAL 1 DAY)"); + $row = $db->fetchOne( + "SELECT COALESCE(SUM(weight), 0) AS cnt FROM request_throttle + WHERE action = ? AND ip_address = ? + AND requested_at > DATE_SUB(NOW(), INTERVAL " . (int)$windowMinutes . " MINUTE)", + [$action, $ip] + ); + if ((int)$row['cnt'] + $weight > $maxWeight) { + return true; + } + $db->query( + "INSERT INTO request_throttle (ip_address, action, weight) VALUES (?, ?, ?)", + [$ip, $action, $weight] + ); + return false; + } catch (Exception $e) { + // Tabelle existiert noch nicht (Migration 0002 nicht gelaufen) + return null; + } +} diff --git a/includes/Mailer.php b/includes/Mailer.php index 9fe53de..0e40c00 100644 --- a/includes/Mailer.php +++ b/includes/Mailer.php @@ -22,7 +22,7 @@ class Mailer { $this->smtpUsername = $this->db->getSetting('smtp_username', ''); $this->smtpPassword = $this->db->getSetting('smtp_password', ''); $this->smtpEncryption = $this->db->getSetting('smtp_encryption', 'tls'); - $this->fromEmail = $this->db->getSetting('smtp_from_email', 'noreply@' . $_SERVER['HTTP_HOST']); + $this->fromEmail = $this->db->getSetting('smtp_from_email', 'noreply@' . ($_SERVER['HTTP_HOST'] ?? 'localhost')); $this->fromName = $this->db->getSetting('smtp_from_name', $this->db->getSetting('app_title', 'UniFi Voucher System')); } @@ -49,24 +49,30 @@ class Mailer { private function sendWithSmtp($to, $subject, $body, $isHtml = false) { try { + // Hostname auch im CLI-Kontext (Cron) verfuegbar + $heloHost = $_SERVER['HTTP_HOST'] ?? (gethostname() ?: 'localhost'); + // Verbindung aufbauen $socket = $this->connectToSmtp(); - + // EHLO - $this->smtpCommand($socket, "EHLO " . $_SERVER['HTTP_HOST']); - + $this->smtpCommand($socket, "EHLO " . $heloHost); + // STARTTLS wenn nötig if ($this->smtpEncryption === 'tls') { $this->smtpCommand($socket, "STARTTLS"); stream_socket_enable_crypto($socket, true, STREAM_CRYPTO_METHOD_TLS_CLIENT); - $this->smtpCommand($socket, "EHLO " . $_SERVER['HTTP_HOST']); + $this->smtpCommand($socket, "EHLO " . $heloHost); } - - // AUTH LOGIN - $this->smtpCommand($socket, "AUTH LOGIN"); - $this->smtpCommand($socket, base64_encode($this->smtpUsername)); - $this->smtpCommand($socket, base64_encode($this->smtpPassword)); - + + // AUTH LOGIN – nur wenn Zugangsdaten konfiguriert sind + // (Server ohne Auth lehnen ein leeres AUTH LOGIN sonst ab) + if ($this->smtpUsername !== '') { + $this->smtpCommand($socket, "AUTH LOGIN"); + $this->smtpCommand($socket, base64_encode($this->smtpUsername)); + $this->smtpCommand($socket, base64_encode($this->smtpPassword)); + } + // MAIL FROM $this->smtpCommand($socket, "MAIL FROM:<{$this->fromEmail}>"); @@ -89,13 +95,14 @@ class Mailer { } $message .= "\r\n"; - - // Body - bei Plain Text Zeilenumbrüche konvertieren - if (!$isHtml) { - $body = nl2br($body, false); // Für Plain Text - $body = str_replace('
', "\r\n", $body); - } - + + // Zeilenumbrueche auf CRLF normalisieren (der fruehere + // nl2br/str_replace-Umweg hat Umbrueche verdoppelt) + $body = preg_replace("/\r\n|\r|\n/", "\r\n", $body); + // SMTP-Dot-Stuffing: Zeilen, die mit '.' beginnen, wuerden sonst + // die DATA-Phase vorzeitig beenden (RFC 5321, 4.5.2) + $body = preg_replace('/^\./m', '..', $body); + $message .= $body; $message .= "\r\n.\r\n"; diff --git a/includes/UniFiController.php b/includes/UniFiController.php index bac24ce..5ecdf79 100644 --- a/includes/UniFiController.php +++ b/includes/UniFiController.php @@ -155,66 +155,83 @@ class UniFiController { return json_decode($response, true); } - // Voucher erstellen + // Einzelnen Voucher erstellen public function createVoucher($voucherName, $maxUses, $expireMinutes = 480) { + $vouchers = $this->createVouchers($voucherName, $maxUses, $expireMinutes, 1); + return $vouchers[0]; + } + + /** + * Erstellt $count Voucher in EINEM API-Call (UniFi 'n'-Parameter) statt + * pro Voucher Login + Full-Fetch auszufuehren. + * + * Matching: Die create-voucher-Antwort liefert die create_time der neuen + * Voucher; darueber (plus note) werden exakt die soeben erstellten Codes + * identifiziert. Der fruehere Fallback "global neuester Voucher" konnte + * bei parallelen Erstellungen fremde Codes liefern und wurde entfernt. + * + * @return array Liste von ['code','formatted_code','unifi_id','create_time'] + */ + public function createVouchers($voucherName, $maxUses, $expireMinutes = 480, $count = 1) { + $count = max(1, (int)$count); $data = [ 'cmd' => 'create-voucher', 'expire' => (int)$expireMinutes, - 'n' => 1, + 'n' => $count, 'note' => $voucherName, 'quota' => (int)$maxUses ]; - + $response = $this->apiRequest("/proxy/network/api/s/{$this->siteId}/cmd/hotspot", $data); if (!isset($response['data'][0]['create_time'])) { throw new Exception("Voucher konnte nicht erstellt werden"); } - - // Voucher-Code abrufen. WICHTIG: getVouchers() liefert die Voucher - // unsortiert zurueck – ein blindes reset() kann bei parallelen - // Erstellungen den falschen (fremden) Code liefern. Daher gezielt - // nach dem soeben erstellten Voucher suchen: gleiche note + neueste - // create_time. - $vouchers = $this->getVouchers(); + $createTime = $response['data'][0]['create_time']; - if (empty($vouchers)) { - throw new Exception("Voucher-Code konnte nicht abgerufen werden"); - } + $all = $this->getVouchers(); - $latestVoucher = null; - foreach ($vouchers as $voucher) { - // Nur Voucher mit passender Notiz beruecksichtigen - if (($voucher['note'] ?? null) !== $voucherName) { - continue; - } - if ($latestVoucher === null - || ($voucher['create_time'] ?? 0) > ($latestVoucher['create_time'] ?? 0)) { - $latestVoucher = $voucher; + // Exakte Treffer: gleiche note UND die vom Controller gemeldete create_time + $matches = []; + foreach ($all as $voucher) { + if (($voucher['note'] ?? null) === $voucherName + && ($voucher['create_time'] ?? null) == $createTime) { + $matches[] = $voucher; } } - // Fallback: falls keine note-Uebereinstimmung (z.B. Sonderzeichen), - // den global neuesten Voucher nehmen. - if ($latestVoucher === null) { - foreach ($vouchers as $voucher) { - if ($latestVoucher === null - || ($voucher['create_time'] ?? 0) > ($latestVoucher['create_time'] ?? 0)) { - $latestVoucher = $voucher; + // Fallback: nur note matchen (falls der Controller create_time leicht + // abweichend meldet), neueste zuerst, auf $count begrenzen. + if (empty($matches)) { + foreach ($all as $voucher) { + if (($voucher['note'] ?? null) === $voucherName) { + $matches[] = $voucher; } } + usort($matches, function ($a, $b) { + return ($b['create_time'] ?? 0) <=> ($a['create_time'] ?? 0); + }); + $matches = array_slice($matches, 0, $count); } - if ($latestVoucher === null || empty($latestVoucher['code'])) { + $result = []; + foreach ($matches as $voucher) { + if (empty($voucher['code'])) { + continue; + } + $result[] = [ + 'code' => $voucher['code'], + 'formatted_code' => $this->formatVoucherCode($voucher['code']), + 'unifi_id' => $voucher['_id'] ?? null, + 'create_time' => $voucher['create_time'] ?? null + ]; + } + + if (empty($result)) { throw new Exception("Voucher-Code konnte nicht abgerufen werden"); } - return [ - 'code' => $latestVoucher['code'], - 'formatted_code' => $this->formatVoucherCode($latestVoucher['code']), - 'unifi_id' => $latestVoucher['_id'] ?? null, - 'create_time' => $latestVoucher['create_time'] ?? null - ]; + return $result; } // Alle Voucher abrufen @@ -339,17 +356,26 @@ class UniFiController { // Alle aktuellen UniFi-IDs sammeln $unifiIds = []; + // Bestehende Voucher der Site einmal als Map laden statt pro Voucher + // ein SELECT auszufuehren (halbiert die Query-Anzahl bei grossen Syncs) + $existingRows = $db->fetchAll( + "SELECT id, unifi_voucher_id FROM vouchers WHERE site_id = ? AND unifi_voucher_id IS NOT NULL", + [$dbSiteId] + ); + $existingMap = []; + foreach ($existingRows as $row) { + $existingMap[$row['unifi_voucher_id']] = $row['id']; + } + foreach ($vouchers as $voucher) { $unifiIds[] = $voucher['_id']; // Status zählen $stats[$voucher['status']]++; - // Prüfen ob Voucher bereits existiert - $existing = $db->fetchOne( - "SELECT id, status, used_count FROM vouchers WHERE unifi_voucher_id = ? AND site_id = ?", - [$voucher['_id'], $dbSiteId] - ); + $existing = isset($existingMap[$voucher['_id']]) + ? ['id' => $existingMap[$voucher['_id']]] + : null; $expiresAt = date('Y-m-d H:i:s', $voucher['expire_time']); $createdAt = date('Y-m-d H:i:s', $voucher['create_time']); diff --git a/index.php b/index.php index 113923c..5203797 100644 --- a/index.php +++ b/index.php @@ -17,6 +17,7 @@ require_once __DIR__ . '/includes/Auth.php'; require_once __DIR__ . '/includes/UniFiController.php'; require_once __DIR__ . '/includes/Mailer.php'; require_once __DIR__ . '/includes/I18n.php'; +require_once __DIR__ . '/includes/Helpers.php'; $auth = new Auth(); $db = Database::getInstance(); @@ -24,29 +25,71 @@ $mailer = new Mailer(); I18n::init(); /** - * Session-basierter Throttle fuer die anonyme oeffentliche Voucher-Erstellung. - * Erlaubt max. 10 Erstellungen in 10 Minuten pro Session. Verhindert, dass - * der oeffentliche Modus zum Spammen des UniFi-Controllers missbraucht wird. + * Throttle fuer die anonyme oeffentliche Voucher-Erstellung: + * max. 10 Voucher in 10 Minuten. Primaer IP-basiert ueber die Tabelle + * request_throttle (laesst sich nicht per Cookie-Loeschen umgehen); + * Fallback auf den Session-Zaehler, falls die Tabelle auf einer alten + * Installation noch fehlt (Migration 0002 nicht gelaufen). */ -function isVoucherRateLimited() { - $window = 600; // 10 Minuten - $maxRequests = 10; +function isVoucherRateLimited($db, $voucherCount = 1) { + $window = 600; // 10 Minuten + $maxVouchers = 10; + + $limited = throttleHit($db, 'voucher_create', $maxVouchers, 10, $voucherCount); + if ($limited !== null) { + return $limited; + } + // Tabelle existiert noch nicht (Migration 0002 nicht gelaufen) + // -> Session-Fallback (Legacy-Verhalten) $now = time(); $timestamps = $_SESSION['voucher_create_times'] ?? []; $timestamps = array_values(array_filter($timestamps, function ($t) use ($now, $window) { return ($now - $t) < $window; })); - if (count($timestamps) >= $maxRequests) { + if (count($timestamps) + $voucherCount > $maxVouchers) { $_SESSION['voucher_create_times'] = $timestamps; return true; } - $timestamps[] = $now; + for ($i = 0; $i < $voucherCount; $i++) { + $timestamps[] = $now; + } $_SESSION['voucher_create_times'] = $timestamps; return false; } +/** + * Validiert die Voucher-Gueltigkeit (Minuten). Anonyme Nutzer duerfen nur den + * konfigurierten Default oder Werte aktiver Templates verwenden – das Feld ist + * ein Hidden-Input und damit beliebig manipulierbar. Eingeloggte Nutzer werden + * auf maximal 1 Jahr begrenzt. + */ +function sanitizeExpireMinutes($expireMinutes, $isLoggedIn, $templates, $defaultExpire) { + $expireMinutes = (int)$expireMinutes; + if ($isLoggedIn) { + return max(1, min(525600, $expireMinutes)); + } + $allowed = array_map(function ($t) { return (int)$t['expire_minutes']; }, $templates); + $allowed[] = $defaultExpire; + return in_array($expireMinutes, $allowed, true) ? $expireMinutes : $defaultExpire; +} + +/** Minuten menschenlesbar formatieren (z.B. 480 -> "8 Stunden"). */ +function formatDuration($minutes) { + $minutes = (int)$minutes; + if ($minutes >= 1440 && $minutes % 1440 === 0) { + $days = $minutes / 1440; + return $days === 1 ? __('dur_day_one') : __('dur_days', ['n' => $days]); + } + if ($minutes >= 60 && $minutes % 60 === 0) { + $hours = $minutes / 60; + return $hours === 1 ? __('dur_hour_one') : __('dur_hours', ['n' => $hours]); + } + return __('dur_minutes', ['n' => $minutes]); +} + $appTitle = $db->getSetting('app_title', 'UniFi Voucher System'); $logoUrl = $db->getSetting('logo_url', ''); +$faviconUrl = $db->getSetting('favicon_url', ''); $instructionHeader = $db->getSetting('instruction_header', ''); $instructionText = $db->getSetting('instruction_text', ''); $publicAccess = $db->getSetting('public_access', 0); @@ -128,14 +171,14 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['create_voucher'])) { } elseif (!$auth->validateCsrfToken($_POST['csrf_token'] ?? '')) { // CSRF fuer ALLE (auch anonyme oeffentliche Erstellung) $error = __('error_csrf'); - } elseif (!$auth->isLoggedIn() && isVoucherRateLimited()) { - $error = 'Zu viele Anfragen. Bitte warten Sie einen Moment.'; + } elseif (!$auth->isLoggedIn() && isVoucherRateLimited($db)) { + $error = __('error_rate_limited'); } else { try { $siteId = (int)($_POST['site_id'] ?? 0); $voucherName = trim((string)($_POST['voucher_name'] ?? '')); $maxUses = (int)($_POST['max_uses'] ?? $defaultMaxUses); - $expireMinutes = max(1, (int)($_POST['expire_minutes'] ?? $defaultExpire)); + $expireMinutes = sanitizeExpireMinutes($_POST['expire_minutes'] ?? $defaultExpire, $auth->isLoggedIn(), $templates, $defaultExpire); $sendEmail = isset($_POST['send_email']) && !empty($_POST['recipient_email']); $recipientEmail= trim((string)($_POST['recipient_email'] ?? '')); @@ -156,57 +199,124 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['create_voucher'])) { if ($sendEmail && !empty($recipientEmail)) { $mailer->sendVoucherEmail($recipientEmail, $voucherCode, $site['name'], $maxUses); - $success = 'Voucher erstellt. E-Mail versendet.'; + $success = __('voucher_created_mail'); } else { - $success = 'Voucher erfolgreich erstellt!'; + $success = __('voucher_created_ok'); } + + $auth->writeAuditLog($userId, 'voucher_create', 'voucher', null, + "Voucher '{$voucherName}' für {$site['name']}" . ($userId === null ? ' (öffentlich)' : '')); + + // PRG-Pattern: Redirect nach erfolgreichem POST, damit ein Reload + // (F5) keinen Duplikat-Voucher erzeugt. Ergebnis via Session-Flash. + $_SESSION['voucher_flash'] = ['type' => 'single', 'data' => $voucherData, 'success' => $success]; + header('Location: index.php?created=1'); + exit; } catch (Exception $e) { $error = 'Fehler: ' . $e->getMessage(); } } } -// Bulk voucher creation +// Bulk voucher creation – nur fuer eingeloggte Nutzer. Das Formular wird +// Anonymen zwar nicht angezeigt, der POST-Endpunkt muss es aber ebenfalls +// serverseitig erzwingen (sonst 20 Voucher pro Request im Public-Modus). if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['create_bulk'])) { - if (!$publicAccess && !$auth->isLoggedIn()) { + if (!$auth->isLoggedIn()) { $error = __('error_login_req'); } elseif (!$auth->validateCsrfToken($_POST['csrf_token'] ?? '')) { - // CSRF fuer ALLE (auch anonyme oeffentliche Erstellung) $error = __('error_csrf'); - } elseif (!$auth->isLoggedIn() && isVoucherRateLimited()) { - $error = 'Zu viele Anfragen. Bitte warten Sie einen Moment.'; } else { try { $siteId = (int)($_POST['site_id'] ?? 0); $voucherName = trim((string)($_POST['voucher_name'] ?? '')); $maxUses = (int)($_POST['max_uses'] ?? $defaultMaxUses); - $expireMinutes = max(1, (int)($_POST['expire_minutes'] ?? $defaultExpire)); + $expireMinutes = sanitizeExpireMinutes($_POST['expire_minutes'] ?? $defaultExpire, true, $templates, $defaultExpire); $bulkCount = max(1, min(20, (int)($_POST['bulk_count'] ?? 1))); if (empty($voucherName)) throw new Exception(__('error_name_req')); if ($maxUses < 1 || $maxUses > $maxUsesLimit) throw new Exception(__('error_devices_range', ['max' => $maxUsesLimit])); if ($siteId <= 0) throw new Exception(__('error_site_req')); - if ($auth->isLoggedIn() && !$auth->hasAccessToSite($siteId)) throw new Exception(__('error_site_no_perm')); + if (!$auth->hasAccessToSite($siteId)) throw new Exception(__('error_site_no_perm')); $site = $db->fetchOne("SELECT * FROM sites WHERE id = ? AND is_active = 1", [$siteId]); if (!$site) throw new Exception(__('error_site_not_found')); - $userId = $auth->isLoggedIn() ? ($_SESSION['user_id'] ?? null) : null; + $userId = $_SESSION['user_id'] ?? null; - for ($i = 0; $i < $bulkCount; $i++) { - $bulkVouchers[] = doCreateVoucher($db, $site, $voucherName . '_' . ($i + 1), $maxUses, $expireMinutes, $userId); + // Alle Voucher in EINEM UniFi-API-Call erstellen ('n'-Parameter) + // statt pro Voucher Login + Voucherliste abzurufen. + $fullName = date('Y-m-d') . '_' . $voucherName; + $controller = new UniFiController( + $site['unifi_controller_url'], + $site['unifi_username'], + Crypto::decrypt($site['unifi_password']), + $site['site_id'] + ); + $created = $controller->createVouchers($fullName, $maxUses, $expireMinutes, $bulkCount); + $expiryTs = time() + ($expireMinutes * 60); + + foreach ($created as $i => $voucher) { + $db->execute( + "INSERT INTO vouchers (site_id, user_id, voucher_code, voucher_name, max_uses, expire_minutes, unifi_voucher_id) + VALUES (?, ?, ?, ?, ?, ?, ?)", + [$site['id'], $userId, $voucher['code'], $fullName . '_' . ($i + 1), $maxUses, $expireMinutes, $voucher['unifi_id'] ?? null] + ); + $bulkVouchers[] = [ + 'code' => $voucher['formatted_code'], + 'site_name' => $site['name'], + 'max_uses' => $maxUses, + 'expire_min' => $expireMinutes, + 'expiry_date' => date('d.m.Y', $expiryTs), + 'expiry_time' => date('H:i', $expiryTs), + ]; } - $bulkCreated = true; - $success = str_replace('{count}', $bulkCount, __('bulk_success')); + $auth->writeAuditLog($userId, 'voucher_bulk', 'voucher', null, + count($created) . " Vouchers '{$voucherName}' für {$site['name']}"); + + $success = str_replace('{count}', count($created), __('bulk_success')); + + // PRG-Pattern: Reload darf die Bulk-Erstellung nicht wiederholen. + $_SESSION['voucher_flash'] = ['type' => 'bulk', 'data' => $bulkVouchers, 'success' => $success]; + header('Location: index.php?created=1'); + exit; } catch (Exception $e) { $error = 'Fehler: ' . $e->getMessage(); } } } +// PRG: Ergebnis nach Redirect aus dem Session-Flash wiederherstellen. +// Der Flash bleibt fuer Reloads der Ergebnisseite erhalten und wird beim +// Zurueckkehren zum Formular (GET ohne ?created) verworfen. +if (isset($_GET['created']) && !empty($_SESSION['voucher_flash'])) { + $flash = $_SESSION['voucher_flash']; + if (($flash['type'] ?? '') === 'bulk') { + $bulkVouchers = $flash['data']; + $bulkCreated = true; + } else { + $voucherData = $flash['data']; + $voucherCode = $voucherData['code']; + $voucherCreated = true; + } + $success = $flash['success'] ?? ''; +} elseif ($_SERVER['REQUEST_METHOD'] !== 'POST') { + unset($_SESSION['voucher_flash']); +} + $currentUser = $auth->isLoggedIn() ? $auth->getCurrentUser() : null; +// Bei Validierungsfehlern: eingegebene Werte und aktiven Tab erhalten +$activeMode = ($error && isset($_POST['create_bulk'])) ? 'bulk' : 'single'; +$stickyName = $error ? trim((string)($_POST['voucher_name'] ?? '')) : ''; +$stickyMaxUses = $error ? (int)($_POST['max_uses'] ?? $defaultMaxUses) : $defaultMaxUses; +$stickyBulkCount = $error ? max(1, min(20, (int)($_POST['bulk_count'] ?? 5))) : 5; +$stickySiteId = $error ? (int)($_POST['site_id'] ?? 0) : 0; +if ($stickyMaxUses < 1 || $stickyMaxUses > $maxUsesLimit) $stickyMaxUses = $defaultMaxUses; +// Anonyme Gaeste wissen oft nicht, was sie als Namen eintragen sollen -> Default +if ($stickyName === '' && !$auth->isLoggedIn()) $stickyName = __('voucher_name_default'); + // Build print HTML for each voucher function buildPrintCard($template, $data, $instructionHeader, $instructionText, $appTitle) { $instructions = $instructionHeader || $instructionText @@ -225,6 +335,9 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, <?= htmlspecialchars($appTitle) ?> + + + @@ -241,9 +354,6 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, .container { max-width: 600px; margin: 0 auto; background: var(--bg-card); border-radius: 20px; box-shadow: 0 20px 60px var(--shadow-lg); padding: 40px; } h1 { text-align: center; color: var(--text-primary); margin-bottom: 30px; font-size: 28px; } .logo { max-width: 250px; display: block; margin: 0 auto 30px; } - .alert { padding: 14px; border-radius: 10px; margin-bottom: 25px; font-size: 14px; } - .alert-error { background: #fee; border: 1px solid #fcc; color: #c33; } - .alert-success { background: #efe; border: 1px solid #cfc; color: #3c3; } .form-group { margin-bottom: 20px; } label { display: block; margin-bottom: 8px; color: var(--text-secondary); font-weight: 500; font-size: 14px; } input[type="text"], input[type="number"], input[type="email"], select { width: 100%; padding: 14px; border: 2px solid var(--border-color); border-radius: 10px; font-size: 15px; transition: all 0.2s; background: var(--bg-input); color: var(--text-primary); } @@ -349,11 +459,11 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText,
-
+
- +
@@ -401,8 +511,8 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, - + @@ -410,7 +520,7 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, -

Code anklicken zum Kopieren

+

@@ -473,13 +583,14 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText,
+ min="1" max="" value="" required>
@@ -489,7 +600,7 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, - @@ -520,7 +631,8 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText,
- + + isLoggedIn()): ?> +
@@ -581,16 +695,18 @@ function buildPrintCard($template, $data, $instructionHeader, $instructionText, diff --git a/install.php b/install.php index 44a0fe9..39b7338 100644 --- a/install.php +++ b/install.php @@ -159,11 +159,12 @@ if ($step === 5 && $_SERVER['REQUEST_METHOD'] === 'POST') { file_put_contents(__DIR__ . '/config.php', $configContent); // .htaccess erstellen (ohne Rewrite Rules die Probleme machen) + // "Require all denied" = Apache 2.4-Syntax; das alte "Order Allow,Deny" + // (2.2) fuehrt auf 2.4 ohne mod_access_compat zu einem 500er. $htaccess = "# UniFi Voucher System\n\n"; $htaccess .= "# Security\n"; - $htaccess .= "\n"; - $htaccess .= " Order Allow,Deny\n"; - $htaccess .= " Deny from all\n"; + $htaccess .= "\n"; + $htaccess .= " Require all denied\n"; $htaccess .= "\n\n"; $htaccess .= "DirectoryIndex index.php\n"; file_put_contents(__DIR__ . '/.htaccess', $htaccess); diff --git a/lang/de.php b/lang/de.php index c96ba91..30ea3e2 100644 --- a/lang/de.php +++ b/lang/de.php @@ -93,12 +93,12 @@ return [ 'voucher_create_btn' => 'Voucher erstellen', 'voucher_creating' => 'Erstelle Voucher...', 'voucher_success_title' => '✓ Ihr Zugangs-Code', - 'voucher_validity' => 'Gültig für {minutes} Minuten ab Erstellung', + 'voucher_validity' => 'Gültig für {duration} ab Erstellung', 'voucher_qr_label' => 'QR-Code scannen zum Verbinden', 'voucher_print_btn' => 'Code ausdrucken', 'voucher_no_sites' => 'Keine verfügbaren Sites gefunden.', 'voucher_no_sites_admin'=> 'Klicken Sie hier, um Sites anzulegen', - 'voucher_no_sites_user' => 'Bitte kontaktieren Sie Ihren Administrator.', + 'voucher_no_sites_user' => 'Ihr Konto hat noch keinen Site-Zugriff. Bitte kontaktieren Sie Ihren Administrator, um Berechtigungen zu erhalten.', 'voucher_template_select'=> '-- Kein Profil (manuell) --', 'voucher_template_label'=> 'Schnellprofil (optional)', @@ -286,4 +286,59 @@ return [ 'never' => 'Noch nie', 'unknown' => 'Unbekannt', 'or' => 'oder', + + // Durations (human readable) + 'dur_minutes' => '{n} Minuten', + 'dur_hour_one' => '1 Stunde', + 'dur_hours' => '{n} Stunden', + 'dur_day_one' => '1 Tag', + 'dur_days' => '{n} Tage', + + // Voucher creation (messages) + 'voucher_created_ok' => 'Voucher erfolgreich erstellt!', + 'voucher_created_mail' => 'Voucher erstellt. E-Mail versendet.', + 'voucher_name_default' => 'Gast', + 'voucher_deleted' => 'Voucher erfolgreich gelöscht!', + 'voucher_delete_failed'=> 'Voucher konnte nicht gelöscht werden', + 'error_rate_limited' => 'Zu viele Anfragen. Bitte warten Sie einen Moment.', + + // Clipboard / UI + 'toast_copied' => 'Kopiert!', + 'click_to_copy' => 'Klicken zum Kopieren', + 'copy_hint' => 'Code anklicken zum Kopieren', + 'loading' => 'Lade…', + 'syncing' => 'Synchronisiere…', + 'vouchers_loaded' => '{count} Vouchers geladen', + + // Confirm dialogs + 'confirm_delete_user' => 'Benutzer wirklich löschen?', + 'confirm_delete_site' => 'Möchten Sie diese Site wirklich löschen?', + 'confirm_delete_template' => 'Profil wirklich löschen?', + 'confirm_delete_voucher' => 'Voucher wirklich löschen?', + 'confirm_send_reset' => 'Passwort-Reset-Link senden an {email}?', + 'confirm_delete_token' => 'Token wirklich löschen?', + + // Admin messages + 'users_status_updated' => 'Benutzer-Status aktualisiert!', + 'sites_status_updated' => 'Site-Status aktualisiert!', + 'error_self_delete' => 'Sie können sich nicht selbst löschen', + 'error_self_deactivate' => 'Sie können sich nicht selbst deaktivieren', + 'error_self_demote' => 'Sie können sich nicht selbst die Administrator-Rechte entziehen', + 'error_pw_mismatch' => 'Passwörter stimmen nicht überein', + 'error_pw_current' => 'Aktuelles Passwort ist falsch', + 'error_email_exists' => 'E-Mail bereits vorhanden', + 'error_user_create' => 'Benutzer konnte nicht erstellt werden', + 'reset_link_sent' => 'Passwort-Reset-Link wurde an {email} gesendet.', + 'reset_link_failed' => 'Benutzer nicht gefunden oder kein lokales Passwort.', + 'cron_token_generated' => 'Neuer Cron-Token wurde generiert!', + 'cron_token_deleted' => 'Cron-Token wurde gelöscht!', + 'm365_secret_hint' => 'Leer lassen = nicht ändern. Zum Deaktivieren des M365-Logins die Client ID leeren.', + + // Site connection test + 'site_test_btn' => 'Verbindung testen', + 'site_test_ok' => 'Verbindung erfolgreich', + 'site_test_fail' => 'Verbindung fehlgeschlagen', + + // System warnings + 'crypto_warning' => 'Verschlüsselung inaktiv: In der config.php ist kein gültiger APP_KEY gesetzt. UniFi-Passwörter werden im Klartext gespeichert. Bei einem Serverumzug mit verändertem APP_KEY schlagen Controller-Logins still fehl.', ]; diff --git a/lang/en.php b/lang/en.php index 42b4b56..fc5c603 100644 --- a/lang/en.php +++ b/lang/en.php @@ -93,12 +93,12 @@ return [ 'voucher_create_btn' => 'Create Voucher', 'voucher_creating' => 'Creating Voucher...', 'voucher_success_title' => '✓ Your Access Code', - 'voucher_validity' => 'Valid for {minutes} minutes from creation', + 'voucher_validity' => 'Valid for {duration} from creation', 'voucher_qr_label' => 'Scan QR code to connect', 'voucher_print_btn' => 'Print Code', 'voucher_no_sites' => 'No available sites found.', 'voucher_no_sites_admin'=> 'Click here to create sites', - 'voucher_no_sites_user' => 'Please contact your administrator.', + 'voucher_no_sites_user' => 'Your account has no site access yet. Please contact your administrator to be granted permissions.', 'voucher_template_select'=> '-- No Profile (manual) --', 'voucher_template_label'=> 'Quick Profile (optional)', @@ -286,4 +286,59 @@ return [ 'never' => 'Never', 'unknown' => 'Unknown', 'or' => 'or', + + // Durations (human readable) + 'dur_minutes' => '{n} minutes', + 'dur_hour_one' => '1 hour', + 'dur_hours' => '{n} hours', + 'dur_day_one' => '1 day', + 'dur_days' => '{n} days', + + // Voucher creation (messages) + 'voucher_created_ok' => 'Voucher created successfully!', + 'voucher_created_mail' => 'Voucher created. Email sent.', + 'voucher_name_default' => 'Guest', + 'voucher_deleted' => 'Voucher deleted successfully!', + 'voucher_delete_failed'=> 'Voucher could not be deleted', + 'error_rate_limited' => 'Too many requests. Please wait a moment.', + + // Clipboard / UI + 'toast_copied' => 'Copied!', + 'click_to_copy' => 'Click to copy', + 'copy_hint' => 'Click a code to copy it', + 'loading' => 'Loading…', + 'syncing' => 'Syncing…', + 'vouchers_loaded' => '{count} vouchers loaded', + + // Confirm dialogs + 'confirm_delete_user' => 'Really delete this user?', + 'confirm_delete_site' => 'Really delete this site?', + 'confirm_delete_template' => 'Really delete this profile?', + 'confirm_delete_voucher' => 'Really delete this voucher?', + 'confirm_send_reset' => 'Send a password reset link to {email}?', + 'confirm_delete_token' => 'Really delete the token?', + + // Admin messages + 'users_status_updated' => 'User status updated!', + 'sites_status_updated' => 'Site status updated!', + 'error_self_delete' => 'You cannot delete yourself', + 'error_self_deactivate' => 'You cannot deactivate yourself', + 'error_self_demote' => 'You cannot remove your own administrator rights', + 'error_pw_mismatch' => 'Passwords do not match', + 'error_pw_current' => 'Current password is incorrect', + 'error_email_exists' => 'Email address already exists', + 'error_user_create' => 'User could not be created', + 'reset_link_sent' => 'Password reset link has been sent to {email}.', + 'reset_link_failed' => 'User not found or no local password set.', + 'cron_token_generated' => 'New cron token generated!', + 'cron_token_deleted' => 'Cron token deleted!', + 'm365_secret_hint' => 'Leave empty to keep the current secret. To disable M365 login, clear the Client ID.', + + // Site connection test + 'site_test_btn' => 'Test connection', + 'site_test_ok' => 'Connection successful', + 'site_test_fail' => 'Connection failed', + + // System warnings + 'crypto_warning' => 'Encryption inactive: no valid APP_KEY is set in config.php. UniFi passwords are stored in plain text. If the APP_KEY changes (e.g. after a server move), controller logins will silently fail.', ]; diff --git a/login.php b/login.php index 59b981b..cf77896 100644 --- a/login.php +++ b/login.php @@ -47,6 +47,7 @@ try { $db = Database::getInstance(); $appTitle = $db->getSetting('app_title', 'UniFi Voucher System'); $logoUrl = $db->getSetting('logo_url', ''); + $faviconUrl = $db->getSetting('favicon_url', ''); $m365ClientId = $db->getSetting('m365_client_id', ''); $m365ClientSecret = $db->getSetting('m365_client_secret', ''); @@ -86,6 +87,9 @@ try { <?= __('login_title') ?> – <?= htmlspecialchars($appTitle) ?> + + + - - - - - \ No newline at end of file diff --git a/m365_callback.php b/m365_callback.php index 584e77f..1aaee18 100644 --- a/m365_callback.php +++ b/m365_callback.php @@ -102,16 +102,20 @@ if (isset($_GET['code'])) { } $userData = json_decode($userResponse, true); - - if (!isset($userData['id']) || !isset($userData['mail'])) { + + // Graph liefert 'mail' nur bei Nutzern mit Exchange-Postfach – fuer alle + // anderen auf den userPrincipalName zurueckfallen. + $userEmail = $userData['mail'] ?? $userData['userPrincipalName'] ?? null; + + if (!isset($userData['id']) || empty($userEmail)) { die("Ungültige Benutzer-Daten erhalten: " . htmlspecialchars($userResponse) . "
Zurück zum Login"); } - + // Benutzer einloggen oder anlegen $microsoftUser = [ 'id' => $userData['id'], - 'email' => $userData['mail'] ?? $userData['userPrincipalName'], - 'name' => $userData['displayName'] ?? $userData['givenName'] . ' ' . $userData['surname'] + 'email' => $userEmail, + 'name' => $userData['displayName'] ?? trim(($userData['givenName'] ?? '') . ' ' . ($userData['surname'] ?? '')) ]; try { diff --git a/reset_password.php b/reset_password.php index 346667e..24f2fb2 100644 --- a/reset_password.php +++ b/reset_password.php @@ -15,6 +15,7 @@ I18n::init(); $db = Database::getInstance(); $appTitle = $db->getSetting('app_title', 'UniFi Voucher System'); $logoUrl = $db->getSetting('logo_url', ''); +$faviconUrl = $db->getSetting('favicon_url', ''); $token = trim($_GET['token'] ?? ''); $error = ''; @@ -69,6 +70,9 @@ if ($valid && $_SERVER['REQUEST_METHOD'] === 'POST') { <?= __('reset_new_pw') ?> – <?= htmlspecialchars($appTitle) ?> + + +